Весеннее переключение безопасности на http после входа в систему.Как я могу сохранить https? - PullRequest
Новая
       12

Весеннее переключение безопасности на http после входа в систему.Как я могу сохранить https?

5 голосов
/ 29 июля 2011

Я использую Spring MVC и Spring Security. Мои перенаправления переключали https на http, пока я не нашел этот пост. Spring MVC Префикс «redirect:» всегда перенаправляет на http - как мне сделать так, чтобы он оставался на https? . Мне также пришлось установить для свойства redirectHttp10Compatible значение false в моем AjaxUrlBasedViewResolver.

Проблема в том, что https по-прежнему переключается на http после входа в систему. После того, как я вошел в систему, я могу установить мое приложение обратно на https в адресной строке, и оно будет зависать. Кроме того, я использую IP-аутентификацию для большинства пользователей, и в этом случае https остается благодаря решению, приведенному выше.

Я пытаюсь добавить redirectHtp10Compatible в login_security_check или что-то подобное, но я застрял. Вот мой security-config.xml. 

<?xml version="1.0" encoding="UTF-8"?>

<beans:beans xmlns="http://www.springframework.org/schema/security"
         xmlns:beans="http://www.springframework.org/schema/beans"
         xmlns:util="http://www.springframework.org/schema/util"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xmlns:context="http://www.springframework.org/schema/context"
         xsi:schemaLocation="http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans-3.0.xsd
         http://www.springframework.org/schema/context http://www.springframework.org/schema/context/spring-context-3.0.xsd
         http://www.springframework.org/schema/util http://www.springframework.org/schema/util/spring-util-3.0.xsd
         http://www.springframework.org/schema/security http://www.springframework.org/schema/security/spring-security-3.0.xsd">

<global-method-security pre-post-annotations="enabled" />

<http auto-config='true' access-denied-page="/login">
    <intercept-url pattern="/static/styles/**" filters="none" />
    <intercept-url pattern="/static/scripts/**" filters="none" />

    <intercept-url pattern="/login/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    <intercept-url pattern="/error/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    <intercept-url pattern="/api/**" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    <intercept-url pattern="/ajaxTimeOut" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    <intercept-url pattern="/checkSystem" access="IS_AUTHENTICATED_ANONYMOUSLY" />
    <intercept-url pattern="/adminUser/**" access="ROLE_SSADMIN" />
    <intercept-url pattern="/**" access="ROLE_USER" />

    <form-login login-page="/ajaxTimeOut" login-processing-url="/login_security_check" authentication-failure-url="/login?login_error=t" default-target-url="/" always-use-default-target="true" />
    <logout logout-url="/logout" logout-success-url="/"/>
    <custom-filter position="PRE_AUTH_FILTER" ref="ipPreAuthFilter" />
</http>

<beans:bean id="ipAuthDetailsSource" class="com.mydomain.security.IPBasedPreAuthenticatedDetailsSource" />

<beans:bean id="ipPreAuthFilter" class="com.mydomain.security.IPPreAuthenticationFilter">
    <beans:property name="authenticationManager" ref="preAuthManager" />
    <beans:property name="authenticationDetailsSource" ref="ipAuthDetailsSource" />
</beans:bean>

<beans:bean id="preAuthManager" class="org.springframework.security.authentication.ProviderManager">
    <beans:property name="providers">
        <beans:list>
            <beans:ref local="preAuthProvider"/>
        </beans:list>
    </beans:property>
</beans:bean>

<beans:bean id="preAuthProvider" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationProvider">
    <beans:property name="preAuthenticatedUserDetailsService" ref="preAuthUserService" />
</beans:bean>

<beans:bean id="preAuthUserService" class="org.springframework.security.web.authentication.preauth.PreAuthenticatedGrantedAuthoritiesUserDetailsService" />

<authentication-manager>
    <authentication-provider user-service-ref="userService">
        <password-encoder ref="passwordEncoder" >
            <salt-source user-property="salt" />
        </password-encoder>
    </authentication-provider>
</authentication-manager>

<beans:bean id="userService" class="com.mydomain.security.UserServiceImpl" />
<beans:bean id="passwordEncoder" class="com.mydomain.security.PasswordEncoder">
    <beans:constructor-arg value="256" />
</beans:bean>

Спасибо.

1 Ответ

0 голосов
/ 17 июля 2012

Добавьте атрибут require-channel к вашим защищенным URL в узлах intercep-url

, например: 

<intercept-url pattern="/**" access="ROLE_USER" requires-channel="https" />
...